roadwave/docs/legal/politique-confidentialite.md

# Politique de confidentialité

**Version** : 1.0
**Date d'effet** : [DATE]
**Dernière mise à jour** : [DATE]

Conforme au **Règlement Général sur la Protection des Données (RGPD)** (UE 2016/679).

---

## 1. Responsable de traitement

**RoadWave**
[ADRESSE SIÈGE SOCIAL]
SIRET : [SIRET]
Email : dpo@roadwave.fr

**Délégué à la Protection des Données (DPO)** :
[NOM DPO]
Email : dpo@roadwave.fr

---

## 2. Données collectées

### 2.1 Données d'identification

| Donnée | Obligatoire | Finalité | Base légale |
|--------|-------------|----------|-------------|
| **Email** | Oui | Connexion, récupération compte | Exécution du contrat |
| **Mot de passe** | Oui | Authentification sécurisée | Exécution du contrat |
| **Pseudo** | Oui | Identification publique créateur | Exécution du contrat |
| **Date de naissance** | Oui | Vérification âge minimum (13 ans) | Obligation légale |

### 2.2 Données de géolocalisation

| Donnée | Obligatoire | Finalité | Base légale |
|--------|-------------|----------|-------------|
| **Position GPS précise** | Non | Diffusion contenu géolocalisé | **Consentement explicite** |
| **Geohash 5 (~5km²)** | Auto | Recommandations après 24h | Intérêt légitime |

**Durée conservation GPS précis** :

- Historique personnel : **24h** puis agrégé en geohash 5
- Geohash : **conservé** pour analytics (anonymisé)

**Révocation consentement** :

- Désactivation GPS dans paramètres → effet immédiat
- Mode dégradé : contenus nationaux + neutres uniquement

### 2.3 Données d'utilisation

| Donnée | Finalité | Base légale |
|--------|----------|-------------|
| **Historique d'écoute** | Recommandations personnalisées | Intérêt légitime |
| **Centres d'intérêt (jauges)** | Algorithme de recommandation | Consentement |
| **Interactions** (likes, abonnements, skips) | Amélioration UX, analytics | Intérêt légitime |
| **Logs techniques** (IP, user-agent) | Sécurité, anti-fraude | Intérêt légitime |

**IP anonymisée** :

- Dernier octet masqué (ex: 192.168.1.XXX)
- Conservation : 7 jours (sécurité) puis suppression

### 2.4 Données créateurs (monétisation)

| Donnée | Finalité | Base légale |
|--------|----------|-------------|
| **SIRET, numéro TVA** | KYC Mangopay, fiscalité | Obligation légale |
| **RIB professionnel** | Virements revenus | Exécution du contrat |
| **Pièce d'identité** | Vérification identité (KYC) | Obligation légale |
| **Kbis <3 mois** | Vérification entreprise | Obligation légale |

**Traitement KYC** : délégué à **Mangopay** (sous-traitant RGPD).

### 2.5 Données analytics

- **Matomo self-hosted** (pas Google Analytics)
- IP anonymisées
- **0 cookie tiers**
- Données agrégées (pas de tracking individuel hors RoadWave)

---

## 3. Finalités et bases légales

| Finalité | Base légale RGPD | Opt-out possible |
|----------|------------------|------------------|
| **Création et gestion compte** | Exécution du contrat | Non (essentiel) |
| **Diffusion contenu géolocalisé** | Consentement (GPS) | Oui (désactiver GPS) |
| **Recommandations personnalisées** | Intérêt légitime | Oui (mode anonyme) |
| **Modération contenus** | Obligation légale (DSA) | Non |
| **Analytics plateforme** | Intérêt légitime | Oui (opposition) |
| **Publicité ciblée géo** | Consentement | Oui (désactiver dans paramètres) |
| **Paiements créateurs** | Exécution du contrat | Non (si monétisation) |

---

## 4. Partage des données

### 4.1 Sous-traitants RGPD

| Sous-traitant | Finalité | Localisation données | DPA signé |
|---------------|----------|----------------------|-----------|
| **Mangopay** | Paiements, KYC créateurs | UE (Luxembourg) | Oui |
| **OVH** | Hébergement audio, stockage fichiers | France | Oui |
| **Hetzner** | Hébergement serveurs backend | UE (Allemagne) | Oui |

**DPA** = Data Processing Agreement (accord de sous-traitance RGPD).

### 4.2 Données publiques

| Donnée | Visibilité | Modification |
|--------|------------|--------------|
| **Pseudo créateur** | Publique | Modifiable |
| **Bio créateur** | Publique | Modifiable |
| **Stats créateur** (abonnés, écoutes) | Publique (arrondies) | Non modifiable |
| **Badge vérifié** | Publique | Non modifiable |

### 4.3 Aucune revente

RoadWave **ne vend jamais** vos données à des tiers.

### 4.4 Autorités

Données transmises uniquement si :

- **Obligation légale** (réquisition judiciaire)
- **Signalement contenu illégal** (terrorisme, pédopornographie) → autorités compétentes

---

## 5. Durées de conservation

| Donnée | Durée | Justification |
|--------|-------|---------------|
| **Compte actif** | Tant que compte existe | Exécution contrat |
| **Compte supprimé** | Grace period **30 jours** puis suppression | Récupération possible |
| **GPS précis** | **24h** puis agrégé geohash 5 | RGPD minimisation |
| **Historique écoute** | Tant que compte existe | Recommandations |
| **Logs modération** | **3 ans** (DSA) | Obligation légale |
| **Logs techniques (IP)** | **7 jours** puis suppression | Sécurité |
| **KYC créateurs** | 5 ans après fin relation (obligation fiscale) | Obligation légale |
| **Contenus supprimés** | Anonymisés immédiatement, analytics conservés | Analytics plateforme |

---

## 6. Droits des utilisateurs (RGPD)

### 6.1 Droit d'accès

- **Consulter** toutes ses données personnelles
- Interface dédiée : "Mes données" dans paramètres
- Export automatique (voir 6.4)

### 6.2 Droit de rectification

- **Modifier** : pseudo, bio, email, centres d'intérêt
- Demande via : dpo@roadwave.fr
- Délai : **1 mois** (RGPD)

### 6.3 Droit à l'effacement ("droit à l'oubli")

- **Suppression compte** : paramètres → "Supprimer mon compte"
- Grace period : **30 jours** (récupération possible)
- Après 30 jours : suppression définitive

**Exceptions** (conservation nécessaire) :

- Logs modération : 3 ans (obligation DSA)
- KYC créateurs : 5 ans (obligation fiscale)
- Analytics agrégés (anonymisés)

### 6.4 Droit à la portabilité

- **Export données** : JSON + HTML + audio
- Générateur asynchrone (délai **48h** si volume important)
- Lien téléchargement expire après **7 jours**

**Contenu export** :

- Profil (pseudo, bio, stats)
- Historique écoute complet
- Centres d'intérêt (jauges)
- Contenus publiés (métadonnées + fichiers audio)
- Abonnements, likes

### 6.5 Droit d'opposition

- **Profilage publicitaire** : désactivation dans paramètres
- **Analytics** : désactivation tracking Matomo
- **Emails marketing** : désinscription lien footer email

### 6.6 Droit de limitation

- **Suspension traitement** pendant contestation exactitude données
- Demande via : dpo@roadwave.fr

### 6.7 Réclamation CNIL

Si désaccord avec RoadWave :

- **CNIL** (Commission Nationale de l'Informatique et des Libertés)
- Site : https://www.cnil.fr/fr/plaintes
- Adresse : 3 Place de Fontenoy, 75007 Paris

---

## 7. Sécurité des données

### 7.1 Mesures techniques

- **Chiffrement** : HTTPS (TLS 1.3) pour toutes communications
- **Stockage** : bases de données chiffrées au repos (AES-256)
- **Mots de passe** : hashage bcrypt (salt + iterations)
- **Backups** : quotidiens, chiffrés, stockés UE

### 7.2 Mesures organisationnelles

- Accès données restreint (équipe RoadWave uniquement)
- Authentification 2FA pour admins
- Logs d'accès (audit trail)

### 7.3 Violation de données

En cas de fuite de données :

- Notification CNIL sous **72h**
- Notification utilisateurs concernés (email) si risque élevé
- Mesures correctives immédiates

---

## 8. Cookies

### 8.1 Cookies essentiels (pas de consentement requis)

| Cookie | Finalité | Durée |
|--------|----------|-------|
| `session_token` | Authentification utilisateur | 30 jours |
| `refresh_token` | Renouvellement session | 30 jours |

### 8.2 Cookies analytics (consentement requis)

- **Matomo** : analytics self-hosted
- Bannière **Tarteaucitron.js** au premier lancement
- Refus = aucun cookie analytics

### 8.3 Aucun cookie tiers

- Pas de Google Analytics
- Pas de Facebook Pixel
- Pas de trackers publicitaires tiers

---

## 9. Mineurs

### 9.1 Âge minimum

- **13 ans minimum** (RGPD)
- Vérification : date de naissance à l'inscription

### 9.2 Mineurs 13-15 ans

- **Autorisation parentale requise**
- Email parent vérifié
- Parent peut demander suppression compte mineur

### 9.3 Mode Kids

- Activation automatique si <13 ans (détecté via date naissance)
- Contenus filtrés : uniquement "Tout public" + tranches d'âge adaptées
- Pas de publicités ciblées (conformité COPPA US si expansion)

---

## 10. Transferts hors UE

### 10.1 Principe

Données hébergées **exclusivement UE** :

- Serveurs : Hetzner (Allemagne) ou OVH (France)
- Storage : OVH Object Storage (France)
- Paiements : Mangopay (Luxembourg)

### 10.2 Exceptions

**API tierces potentielles** (post-MVP) :

- Si transfert hors UE → clauses contractuelles types (CCT)
- Notification utilisateurs avant activation

---

## 11. Modifications de la politique

- Notification **14 jours avant** entrée en vigueur (email)
- Version datée disponible : roadwave.fr/confidentialite
- Changements majeurs → nouveau consentement requis

---

## 12. Contact DPO

**Délégué à la Protection des Données** :

- Email : dpo@roadwave.fr
- Délai réponse : **1 mois** (RGPD)

**Pour toute question RGPD** :
1. Email dpo@roadwave.fr
2. Objet : "[RGPD] Votre demande"
3. Joindre : justificatif identité (si accès/suppression données)